Déploiement et sécurisation de l'infrastructure informatique de la ligne P7

fiche rédigée le 07 octobre 2026architecture

Période septembre 2023 → septembre 2026

Expérience un site de production pharmaceutique (avril 2022 → décembre 2026)

Projet P7

Contexte

La ligne P7 est la septième ligne de packaging du site, et c’est la première ligne entièrement connectée dont le LES fonctionne. P6 avait ouvert la voie, sans que son LES entre en service. P7 rassemble aussi sur une seule ligne l’assemblage et le packaging, deux fonctions qui restaient séparées avant elle. (fait)

Le déploiement s’est fait par étapes, P7 d’abord, puis P8 en répliquant ce qui avait fonctionné. Ce que cette fiche décrit est le socle posé sur P7, qui a servi de modèle ensuite. (fait)

Le chantier démarre en septembre 2023 et s’achève en novembre 2025. Une phase de support allongé suit, jusqu’en septembre 2026, avant la fin du projet et la bascule en BAU, le régime de croisière de l’usine. Elle a consisté en plusieurs séries de débogage sur le LES, et en investigations sur des problèmes variés. (fait)

Objectif

Déployer et sécuriser l’infrastructure informatique qui porte la ligne, dans un contexte de convergence entre l’informatique de gestion et les technologies de production. La ligne est le premier cas du site où les deux mondes se rejoignent, et la cybersécurité industrielle devait être posée dès la conception. (fait)

Architecture

Le réseau repose sur une segmentation stricte par VLANs dédiés. Un VLAN porte les machines virtuelles, un autre les machines physiques et les automates, et les deux communiquent par l’ouverture des ports nécessaires au niveau du firewall, géré par les équipes globales. L’isolation est donc réelle sans couper le fonctionnement de la ligne. (fait)

L’hébergement s’appuie sur une infrastructure virtualisée VMWare vSphere ESXi en cluster. Les applications critiques, le Line Controller et l’annuaire, y sont hébergées. Les machines virtuelles sont en redondance active-active entre les deux salles du datacenter. (fait)

La bascule reste manuelle. En cas de défaillance d’un local technique, quelqu’un rebranche un lien RJ45 sur la ligne. C’est une limite assumée, et cela reste une amélioration par rapport aux lignes précédentes, qui n’étaient pas connectées du tout. (fait)

Analyse de risques

Cinq risques ont été cotés, avec une formule simple, probabilité multipliée par impact, sur une échelle de 25. La cotation s’appuie sur le retour d’expérience des projets précédents du site, sur la veille en cybersécurité industrielle et sur le référentiel NIST. (fait)

La panne matérielle d’un serveur ESXi arrive en tête, à 15 : sa mitigation est l’architecture redondante active-active, avec la maintenance préventive et le basculement sur la ligne. La mauvaise configuration des machines virtuelles suit à 12, traitée par un dimensionnement rigoureux et une documentation complète. L’intrusion réseau dans l’infrastructure de production vient à 10, avec la segmentation par VLANs, le DCP en lecture seule et la gestion centralisée des accès. L’escalade de privilèges et la non-conformité aux normes ferment la liste à 8 chacune. (fait)

Aucun des incidents de cette matrice n’a été constaté depuis. (fait)

Rôle

J’ai conçu l’architecture avec l’équipe, puis j’ai réalisé le déploiement technique. Le câblage, la configuration des switches, la mise en place des machines virtuelles et l’intégration des IHM dans l’annuaire sont passés par moi. (fait)

Actions

Le déploiement a commencé par le câblage physique des serveurs ESXi dans les baies des deux salles du datacenter. Le repérage du câblage a été fait avec soin, pour faciliter les interventions de maintenance et les remplacements d’hôte. (fait)

L’installation de quatorze switches industriels Siemens, des Scalance XC208G et XC216G, a suivi. Sans eux, aucune machine ne se connecte au réseau. Leur configuration porte trois mesures de sécurisation. Le protocole de redondance en anneau, activé par défaut, a été désactivé pour s’adapter au réseau en étoile. Le DCP a été passé en lecture seule, pour qu’un automate ne puisse pas écraser la configuration du switch. Et des cartes C-PLUG ont été mises en place pour conserver la configuration en physique, sur la carte elle-même. (fait)

Côté machines virtuelles, le système d’exploitation est un Windows Server durci du catalogue interne. Chaque machine est intégrée au domaine Active Directory et sécurisée par GPO, pour fermer la porte aux escalades de privilèges. (fait)

L’intégration des dix-neuf IHM de la ligne dans l’annuaire a été le morceau le plus varié. Chaque constructeur a sa façon de s’authentifier : Windows Embedded avec SIMATIC LOGON chez un fournisseur d'assemblage, du Linux raccordé par un LDAP personnalisé chez un fournisseur de pesée et Neri, une intégration Windows standard pour le reste, et une configuration dans les fichiers applicatifs chez un fournisseur de contrôle. Toutes ces voies mènent à une authentification centralisée, avec la traçabilité GMP qu’elle permet. (fait)

Défis

La difficulté principale tient à la diversité des mécanismes d’authentification. Chaque système embarqué a ses spécificités, et il a fallu comprendre chaque constructeur avant de le raccorder. (fait)

S’y ajoute la barrière de la langue. Les échanges techniques avec les fournisseurs se faisaient en anglais, avec des interlocuteurs allemands, suisses et italiens. J’ai produit une documentation par machine et par fournisseur, en travaillant avec les automaticiens. (fait)

Résultats / Impact

La ligne est la première du site à être entièrement connectée. La liaison entre le MES et le LES automatise l’envoi des numéros de lot vers toutes les machines, ce qui supprime les erreurs de saisie manuelle. Sur les lignes précédentes, ces numéros étaient reportés à la main et contrôlés par une double vérification opérateur. (fait)

Le socle a été réutilisé sur P8, puis sur P9, chaque ligne reprenant le modèle en l’améliorant. (fait)

L’impact chiffré, temps gagné ou erreurs évitées, reste (non mesuré, assumé). (fait)

Apprentissages

Sur une ligne de production, la sécurité se conçoit dès l’architecture. Une fois les machines en place, chaque cloison ajoutée coûte plus cher qu’un VLAN posé au départ. (déduit)

Intégrer des équipements de constructeurs différents se joue sur la compréhension de chaque système, pas sur une méthode unique. La documentation par machine est le vrai livrable. (déduit)

Déployer d’abord une ligne puis la suivante permet de répliquer ce qui a marché. C’est ce qui a transformé un projet en méthode. (fait)

Preuves

Les schémas d’architecture, la documentation par machine et les configurations de switches relèvent de l’entreprise et restent (preuves confidentielles, non versées). (fait)

Sources

Propos tirés du rapport d’alternance master, sur la période 2023-2025 :

« Cette mission s’est déroulée dans le cadre du déploiement des lignes de packaging P7 et P8 pour un site de production pharmaceutique […]. Le projet présentait des défis techniques complexes liés à la convergence IT/OT et à la première implémentation d’une ligne entièrement connectée 4.0 sur le site. »

« J’ai donc conçu avec l’équipe une architecture reposant sur une infrastructure virtualisée VMWare vSphere ESXi en cluster. Cela nous a permis d’avoir un hébergement des application critiques (notamment Line Controler et AD) robuste. »

« La mise en place et la configuration des machines virtuelles étaient essentielles pour le système. J’ai veillé à utiliser un OS un site de production pharmaceutique Windows server durci, tout en appliquant les bonnes pratiques de sécurité. »

« L’intégration s’est révélée formatrice dans le besoin de compréhension des spécificités de chaque système d’exploitation embarqué mais aussi lors de la configuration des applications fournisseurs. La principale difficulté se présentait sur la diversité des fonctionnements d’authentifications, mais aussi sur la communication en anglais avec les fournisseurs (Allemands, Suisses, Italiens). »

« J’ai procédé à une installation par étapes (d’abord P7 avec un apprentissage pouvant répliquer ou améliorer sur P8 en appliquant ce qui avait fonctionné). »